riskDetection 资源类型

命名空间：microsoft.graph

表示有关Microsoft Entra租户中检测到的风险的信息。

Microsoft Entra ID根据各种信号和机器学习持续评估用户风险以及应用或用户登录风险。 此 API 提供对Microsoft Entra环境中所有风险检测的编程访问。

有关风险检测的详细信息，请参阅Microsoft Entra ID 保护和什么是风险检测？

注意

风险检测数据的可用性由Microsoft Entra数据保留策略控制。

方法

方法	返回类型	说明
列出 riskDetections	riskDetection 集合	获取 riskDetection 对象及其属性的列表。
获取 riskDetection	riskDetection	读取 riskDetection 对象的属性和关系。

属性

属性	类型	说明
活动	activityType	指示检测到的风险链接到的活动类型。 可取值为：signin、user、unknownFutureValue。
activityDateTime	DateTimeOffset	风险活动的发生日期和时间。 DateTimeOffset 表示使用 ISO 8601 格式的日期和时间信息，并且始终处于 UTC 时间。 例如，2014 年 1 月 1 日午夜 UTC 如下所示： 2014-01-01T00:00:00Z
additionalInfo	String	与 JSON 格式的风险检测关联的其他信息。 例如，"[{\"Key\":\"userAgent\",\"Value\":\"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/68.0.3440.106 Safari/537.36\"}]"。 additionalInfo JSON 字符串中的可能键包括：userAgent、、alertUrl、、relatedEventTimeInUtcrelatedUserAgent、correlationIdlastActivityTimeInUtcrequestIddeviceInformationrelatedLocationmalwareName、clientLocation、 。 riskReasonsclientIp 有关 riskReasons 和可能值的详细信息，请参阅 riskReasons 值。
correlationId	String	与风险检测关联的登录的相关 ID。 如果风险检测未与登录相关联，则此属性 null 为 。
detectedDateTime	DateTimeOffset	检测到风险的日期和时间。 DateTimeOffset 表示使用 ISO 8601 格式的日期和时间信息，并且始终处于 UTC 时间。 例如，2014 年 1 月 1 日午夜 UTC 如下所示： 2014-01-01T00:00:00Z
detectionTimingType	riskDetectionTimingType	检测到的风险的计时 (实时/脱机) 。 可取值为：notDefined、realtime、nearRealtime、offline、unknownFutureValue。
id	String	风险检测的唯一 ID。 继承自 实体
ipAddress	String	提供发生风险的客户端的 IP 地址。
lastUpdatedDateTime	DateTimeOffset	上次更新风险检测的日期和时间。 DateTimeOffset 表示使用 ISO 8601 格式的日期和时间信息，并且始终处于 UTC 时间。 例如，2014 年 1 月 1 日午夜 UTC 如下所示： 2014-01-01T00:00:00Z
location	signInLocation	登录的位置。
requestId	String	与风险检测关联的登录的请求 ID。 如果风险检测未与登录相关联，则此属性 null 为 。
riskDetail	riskDetail	检测到的风险的详细信息。 可能的值为：none、、adminGeneratedTemporaryPassworduserPerformedSecuredPasswordChange、aiConfirmedSigninSafeuserPassedMFADrivenByRiskBasedPolicyadminDismissedAllRiskForUseruserPerformedSecuredPasswordResetadminConfirmedSigninSafeadminConfirmedSigninCompromised、hidden、adminConfirmedUserCompromised、unknownFutureValue、 。 m365DAdminDismissedDetection 请注意，必须使用 Prefer: include - unknown -enum-members 请求标头来获取以下值 (在此 可演变枚举中的) ： m365DAdminDismissedDetection。
riskEventType	String	检测到的风险事件类型。 可能的值为 adminConfirmedUserCompromised、、anomalousToken、newCountryriskyIPAddressanomalousUserActivitysuspiciousSendingPatternsleakedCredentialsimpossibleTravelinvestigationsThreatIntelligencemaliciousIPAddressgenericmcasSuspiciousInboxManipulationRulessuspiciousAPITrafficmalwareInfectedIPAddresssuspiciousBrowserpasswordSprayanonymizedIPAddress、suspiciousInboxForwarding、suspiciousIPAddress、tokenIssuerAnomaly、 。 unlikelyTravelunfamiliarFeatures 如果风险检测是高级检测，将显示 generic。 有关每个值的详细信息，请参阅 风险类型和检测。
riskLevel	riskLevel	检测到的风险级别。 可取值为：low、medium、high、hidden、none、unknownFutureValue。
riskState	riskState	检测到有风险的用户或登录的状态。 可取值为：none、confirmedSafe、remediated、dismissed、atRisk、confirmedCompromised 或 unknownFutureValue。
source	String	风险检测的来源。 例如，activeDirectory。
tokenIssuerType	tokenIssuerType	指示检测到的登录风险的令牌颁发者类型。 可取值为：AzureAD、ADFederationServices、UnknownFutureValue。
userDisplayName	String	用户的用户主体名称 (UPN)。
userId	String	用户的唯一 ID。
userPrincipalName	String	用户的用户主体名称 (UPN)。

riskReasons 值

riskEventType	值	UI 显示字符串
investigationsThreatIntelligence	suspiciousIP	此登录来自可疑 IP 地址
investigationsThreatIntelligence	passwordSpray	此用户帐户受到密码喷射攻击。

关系

无。

JSON 表示形式

下面是资源的 JSON 表示形式。

{
  "@odata.type": "#microsoft.graph.riskDetection",
  "id": "String (identifier)",
  "requestId": "String",
  "correlationId": "String",
  "riskEventType": "String",
  "riskState": "String",
  "riskLevel": "String",
  "riskDetail": "String",
  "source": "String",
  "detectionTimingType": "String",
  "activity": "String",
  "tokenIssuerType": "String",
  "ipAddress": "String",
  "location": {
    "@odata.type": "microsoft.graph.signInLocation"
  },
  "activityDateTime": "String (timestamp)",
  "detectedDateTime": "String (timestamp)",
  "lastUpdatedDateTime": "String (timestamp)",
  "userId": "String",
  "userDisplayName": "String",
  "userPrincipalName": "String",
  "additionalInfo": "String"
}